Тривиальная уязвимость стала причиной взлома Министерства внутренней безопасности США

Web-сайт американского Министерства внутренней безопасности (Department of Homeland Security, DHS) был скомпрометирован группой хакеров NullCrew, использовавшей для взлома уязвимость обхода каталога. К такому выводу пришли эксперты по информационной безопасности из компании Sophos, принимавшие участие в расследовании инцидента.  

4 января 2013 года на своей странице в социальной сети Twitter представители хакерской группировки сообщили о взломе web-ресурса studyinthestates.dhs.gov. Указанный портал специализируется на консультировании иностранцев по вопросам получения образования в американских школах и ВУЗах.  

По словам Пола Даклина (Paul Ducklin) из Sophos, уязвимость, которую проэксплуатировали злоумышленники, позволяла посетителям web-сайта получить доступ к файловой системе сервера и, соответственно, раскрыть конфиденциальную информацию.  

Соответствующее сообщение NullCrew с подтверждением факта взлома было опубликовано и позже удалено в сервисе Pastebin. В настоящий момент копия данного сообщения доступна в кеше поисковика Google.  

Даклин также отметил, что кроме указанной им уязвимости, у ресурса есть такие проблемы, как использование устаревших версий Apache и PHP, что также представляет серьезную угрозу безопасности сайта.